سياسة الإبلاغ عن الثغرات الأمنية

تلتزم جمعية الفنون والآداب في الجامعة الأمريكية بحماية البيانات الشخصية على منصاتها. وتبيّن هذه السياسة، المبنية على قالب وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA)، للباحثين الأمنيين الأنظمة التي يجوز لهم اختبارها، وكيف يختبرونها، وكيف يرسلون إلى الجمعية ما يجدونه. ونشجعك على التواصل معنا بشأن أي ثغرة تكتشفها.

الإذن

إن بذلت جهدًا بحسن نية لاتباع هذه السياسة في بحثك، فستعدّ الجمعية بحثك مأذونًا به، وستعمل معك لفهم المشكلة وحلها سريعًا، ولن توصي باتخاذ أي إجراء ضدك ولن تتخذه. وإن اتخذ طرف ثالث إجراءً قانونيًا ضدك بسبب نشاط اتبع هذه السياسة، فستعلن الجمعية هذا الإذن. ولا يشمل هذا الإذن إلا أنظمة الجمعية نفسها المدرجة في «النطاق»؛ ولا يُجيز أي شيء تمنعه سياسات الجامعة أو القانون على أنظمة الجامعة نفسها.

الإرشادات

يعني البحث وفق هذه السياسة أن:

• تبلغنا في أقرب وقت ممكن بعد اكتشاف مشكلة أمنية حقيقية أو محتملة؛
• تبذل كل جهد لتجنب انتهاك الخصوصية، أو الإضرار بتجربة أي شخص، أو تعطيل الخدمة، أو إتلاف البيانات أو تغييرها؛
• لا تستغل الثغرة إلا بالقدر اللازم لتأكيد وجودها، ولا تستخدمها للوصول إلى البيانات أو تغييرها أو حذفها، أو لإنشاء وصول دائم، أو للانتقال إلى أنظمة أخرى؛
• تمنحنا وقتًا معقولًا لإصلاح المشكلة قبل إخبار أي شخص آخر؛
• لا ترسل عددًا كبيرًا من البلاغات ضعيفة الجودة.

ومتى تأكدت من وجود ثغرة، أو صادفت بيانات شخصية أو مالية أو أي شيء خاص أو سري، فأوقف الاختبار، وأبلغنا فورًا، ولا تشارك البيانات مع أي شخص.

طرق الاختبار

لا يُؤذن بما يلي: اختبار حجب الخدمة؛ والاختبار المادي (كالدخول إلى المكاتب أو التسلل خلف شخص مأذون له)؛ والهندسة الاجتماعية، ومنها التصيّد، مع الأعضاء أو الكادر أو أي شخص؛ وأي اختبار آخر لأشخاص الجمعية.

النطاق

• auibsal.org، ومنه الديوان (auibsal.org/diwan)، ولوحة الشريك، وواجهة البرمجة (auibsal.org/api)
• هدهد، بوت الجمعية على Telegram (@auibsal_bot)
• رسائل الجمعية الإلكترونية المرسلة من auibsal.org وnews.auibsal.org

وكل خدمة غير مدرجة خارج النطاق، ومنها status.auibsal.org والمنصات التي تستخدمها الجمعية (مثل Vercel وSupabase وResend وCloudflare وZoho وNotion وTelegram وGoogle)، ولكلّ منها برنامجه للإفصاح، وكل أنظمة الجامعة. وإن لم تكن متأكدًا من أن نظامًا ما داخل النطاق، فاسألنا أولًا.

الإبلاغ عن ثغرة

راسل security@auibsal.org؛ ويعطي auibsal.org/.well-known/security.txt جهة الاتصال نفسها. ويجوز لك الإبلاغ دون ذكر اسمك. وبيّن لنا أين وجدت الثغرة، وما قد تؤثر فيه، وكيف تتكرر (ويفيد إثبات للمفهوم أو لقطات للشاشة). ولا تُدرج البيانات الشخصية لأي شخص آخر.

ما يمكنك توقعه منا

• نؤكد استلام بلاغك خلال ثلاثة أيام عمل.
• نؤكد هل الثغرة موجودة، ونُطلعك على المستجدات ونحن نصلحها.
• إن وقع اختراق للبيانات الشخصية، نبلغ المتأثرين وشؤون الطلبة خلال 72 ساعة من علمنا، كما يبيّن دليل السياسات (SAL-GOV-03، المادة الثامنة).
• ننسب إليك الفضل باسمك، إن رغبت، بعد إتمام الإصلاح.

الأسئلة

تُرسل الأسئلة عن هذه السياسة إلى security@auibsal.org. ونرحب أيضًا بالاقتراحات لتحسينها.